Uma vulnerabilidade crítica no sistema de compressão de dados força as empresas de tecnologia a lançar atualizações de segurança para prevenir ataques que podem comprometer servidores e aplicativos. Esta vulnerabilidade, denominada HTTP2Shell, afeta o Brotli, uma tecnologia desenvolvida pelo Google e usada em vários elementos da infraestrutura de internet.
Esta falha é classificada como muito séria, com uma pontuação de 9,2 em uma escala de dez. Ela é capaz de causar corrupção de memória, vazamento de dados, interrupção de serviços e, sob certas circunstâncias, execução remota de código. O último cenário permite que um invasor execute comandos no sistema vulnerável.
O problema, identificado sob o código CVE-2026-111497, também é conhecido como Node2Shell e Broccoli2Shell. Entre os softwares potencialmente afetados estão Node.js, aplicativos .NET e pacotes Python que utilizam versões vulneráveis do decodificador Brotli.
De acordo com a TechRadar, muitas empresas e projetos já começaram a distribuir correções. No entanto, no momento da publicação do material, não havia confirmação de que esta vulnerabilidade estava sendo usada em ataques maliciosos reais.
O problema levou vários projetos a lançar atualizações de segurança. O Google atualizou a biblioteca Brotli em 21 de outubro, lançando as versões 1.0.10, 1.1.1 e 1.2.1. No mesmo dia, o Node.js também lançou correções. A vulnerabilidade afeta as linhas 22.x, 24.x e 26.x do ambiente de execução usado para executar código JavaScript fora dos navegadores.
No fim de semana, a Microsoft publicou uma atualização de emergência para o .NET. A empresa alertou que a exploração bem-sucedida pode levar ao aumento de privilégios em sistemas vulneráveis. Além disso, pacotes Python que usam o decodificador receberam correções em 23 de outubro.
A TechRadar listou as versões corrigidas, mas enfatizou que a existência dessas versões não significa que todos os sistemas que usam essas tecnologias sejam vulneráveis. O risco depende das versões instaladas, das bibliotecas utilizadas e de como cada aplicativo processa os dados. Também é importante lembrar que alguns programas contêm sua própria cópia do decodificador, portanto, os administradores devem verificar as dependências e atualizar os componentes realmente utilizados.
Esta corrida para corrigir o HTTP2Shell chama a atenção para um problema mais amplo: a manutenção da segurança da infraestrutura digital, que depende de muitos componentes, bibliotecas e servidores que nem sempre são atualizados regularmente.
Um aviso recente sobre PHP — outra tecnologia amplamente utilizada para criar sites — mostrou como esse problema pode se agravar se os responsáveis pela manutenção não aplicarem patches de segurança. Embora as vulnerabilidades do PHP sejam diferentes do HTTP2Shell, ambos os casos ilustram as dificuldades de proteger sistemas que dependem de componentes de software mantidos por diferentes organizações.
Segundo a CNET, a própria PHP Foundation, uma organização sem fins lucrativos que apoia a segurança e o desenvolvimento da linguagem, opera com apenas um funcionário permanente e cerca de 14 funcionários em tempo parcial, além de voluntários do conselho. A diretora executiva da organização, Elizabeth Barron, declarou à Reuters que a demanda por mudanças de segurança no código PHP aumentou devido à expansão das ameaças identificadas por inteligência artificial (IA), na ausência de um crescimento correspondente no número de funcionários.
A conscientização dos responsáveis pelos sites também é um obstáculo. Uma pesquisa citada pela CNET e realizada entre 121 proprietários de pequenas empresas que mantêm seus próprios sites mostrou que 45% nunca tinham ouvido falar de PHP, e 71% não sabiam se seu site usava essa tecnologia.
A responsabilidade pela aplicação de correções varia dependendo da infraestrutura. Alguns serviços de hospedagem gerenciada realizam atualizações para os clientes, enquanto proprietários de servidores próprios devem agir por conta própria. Para visitantes comuns de sites, atualizar o navegador ou mudar senhas não eliminará a vulnerabilidade no servidor de outra organização; a proteção depende primariamente da atualização oportuna dos componentes e da adoção de medidas de segurança adequadas pelos responsáveis pelos aplicativos.
A principal recomendação é instalar as atualizações disponíveis para os componentes afetados. Após a correção, pode ser necessário reiniciar processos e reconstruir imagens de contêineres para garantir que os serviços parem de usar versões vulneráveis.
Se não for possível aplicar a correção imediatamente, existem medidas temporárias para reduzir o risco. No caso de aplicativos Python, a solução temporária é remover os pacotes Brotli vulneráveis e as dependências opcionais que os utilizam. Os administradores também podem configurar proxies, balanceadores de carga ou firewalls de aplicativos para bloquear certas solicitações com corpos empacotados em Brotli. No entanto, essa medida não garante proteção total aos aplicativos que recebem respostas maliciosas de outros servidores e tentam descompactá-las. Para Node.js, não existe uma alternativa completa à atualização.
O apelido HTTP2Shell refere-se a outra vulnerabilidade recente conhecida como PHP2Shell, que afetou o PHP, uma linguagem amplamente usada no desenvolvimento de sites e aplicativos. Ambas as vulnerabilidades têm um aspecto preocupante em comum: sob certas condições, podem abrir caminho para a execução remota de código. Isso torna a correção particularmente importante para organizações que mantêm sistemas abertos à internet.
No entanto, as vulnerabilidades em si são diferentes e afetam componentes distintos. A correção do PHP2Shell não protege automaticamente o ambiente contra o HTTP2Shell, assim como a atualização do Brotli não resolve problemas específicos do PHP. No caso do HTTP2Shell, a TechRadar mencionou provas de conceito públicas, mas não indicou exploração confirmada no mundo real. Apesar disso, a disponibilidade das correções e a potencial gravidade do problema tornam a verificação dos sistemas afetados uma prioridade. O artigo 'Falha crítica ameaça sites e pode permitir que hackers executem códigos remotamente' apareceu pela primeira vez no Olhar Digital.
